等保 2.0 自查终极清单：40 个高频检查项 + 腾讯云 RAS 对应工具对照表

原创

gavin1024

发布于 2026-05-21 11:15:02

5870

摘要：

本文基于等保2.0三级系统，整理出40个最高频检查项，覆盖五大安全域，并标注'必过项'和'高风险扣分项'，每一项都给出腾讯云RAS对应的自动检查能力。

一、为什么每年都要做一次"等保自查"

等保 2.0 自 2019 年实施以来，已经从一项"合规选修课"变成了几乎所有关键信息系统的年度必修课。根据近两年的测评数据：

首次参与测评的系统中，约 42% 无法一次通过，需要整改后复测；
复测通过后，约 18% 在第二年年度检查中得分下降，因为配置漂移；
得分最集中的失分项是"安全区域边界"与"安全计算环境"两大安全域，合计占到所有失分的 60% 以上。

如果企业在测评前能提前 60 天完成一次系统自查，把高频检查项全部过一遍，一次通过率可以提升到 85% 以上。

二、等保 2.0 五大安全域速览

等保 2.0 将技术要求分为五大安全域：

安全域	侧重内容	失分权重
安全物理环境	机房、设备、介质	低
安全通信网络	网络架构、通信传输、可信验证	中
安全区域边界	边界防护、访问控制、入侵防范	高
安全计算环境	主机、应用、数据	高
安全管理中心	系统管理、审计管理、集中管控	中

三级系统要求最严格（国内大多数面向公众服务的业务系统落在三级），本文以此为基准。

三、40 个高频检查项清单

为便于实操，我们把 40 项按五大安全域分组，每项注明"检查内容 / 测评关键点 / 必过项/高风险扣分项 / RAS 对应能力"。

3.1 安全物理环境（4 项）

	检查项	测评关键点	级别	RAS 对应能力
1	机房出入管理	进出登记、门禁日志	必过	非 RAS 范围（机房现场）
2	防火防水防雷	设备配置、年度检查记录	必过	非 RAS 范围
3	电磁防护	屏蔽机柜、接地	建议	非 RAS 范围
4	介质销毁记录	硬盘退役销毁留痕	必过	非 RAS 范围

物理环境项一般通过文档与现场检查完成，RAS 不覆盖；但如果企业已上云，该域几乎由云厂商默认负责。

3.2 安全通信网络（6 项）

	检查项	测评关键点	级别	RAS 对应能力
5	网络架构高可用	双链路 / 冗余 / 带宽	建议	云业务评估（架构审计）
6	通信加密	TLS 1.2+、证书有效	高风险	暴露面测绘（证书/协议识别）
7	通信完整性	完整性校验机制	建议	云业务评估
8	可信验证	设备启动可信	建议	非 RAS 核心
9	子网划分合理	VPC/子网隔离	高风险	云业务评估
10	带内外管理分离	运维网段独立	建议	云业务评估

3.3 安全区域边界（10 项）

	检查项	测评关键点	级别	RAS 对应能力
11	边界访问控制	安全组 / ACL / 防火墙规则	必过 + 高风险	云业务评估 + 防御检验
12	入侵检测与防御	IDS/IPS 策略与日志	高风险	防御能力检验
13	恶意代码防范	边界防恶意代码	必过	防御能力检验
14	垃圾邮件防范	邮件网关策略	建议	防御能力检验（邮件场景）
15	安全审计日志	留存 6 个月+	必过	云业务评估（日志检查）
16	可信接入	准入控制	建议	非 RAS 核心
17	无线网络管控	无线准入 / 加密	建议	非 RAS 核心
18	拨号/VPN 管控	VPN 协议、审计	必过	云业务评估
19	外联资产最小化	互联网侧暴露面	高风险	暴露面测绘（核心能力）
20	未授权设备接入	非法接入发现	建议	暴露面测绘（影子资产）

3.4 安全计算环境（14 项）

	检查项	测评关键点	级别	RAS 对应能力
21	身份鉴别强度	口令复杂度 + 双因子	高风险	云业务评估（IAM/CAM）
22	访问控制策略	最小权限原则	高风险	云业务评估
23	安全审计开启	系统/应用日志	必过	云业务评估
24	入侵防范	主机补丁 / HIDS	高风险	防御能力检验（主机场景）
25	恶意代码防范	端点防护	必过	防御能力检验
26	可信验证	系统启动可信	建议	非 RAS 核心
27	数据完整性	传输存储校验	必过	云业务评估
28	数据保密性	加密存储 / 密钥	高风险	云业务评估 + 敏感信息监测
29	数据备份恢复	备份策略 + 演练	必过	非 RAS 核心
30	剩余信息保护	介质清除	建议	非 RAS 核心
31	个人信息保护	合规采集与存储	必过	云业务评估
32	漏洞与补丁管理	补丁周期、高危修复	高风险	风险测绘（PoC 验证）
33	代码安全	源代码审计、密钥硬编码	高风险	敏感信息监测（代码泄漏）
34	Web 应用安全	WAF 策略、应用漏洞	高风险	风险测绘 + 防御检验

3.5 安全管理中心（6 项）

	检查项	测评关键点	级别	RAS 对应能力
35	系统集中管理	统一运维平台	必过	非 RAS 核心
36	日志集中审计	SIEM / SOC 覆盖	必过	云业务评估
37	安全策略集中管理	统一下发	建议	云业务评估
38	事件集中响应	应急预案与演练	必过	防御能力检验（验证响应）
39	密码应用合规	商密使用	建议	云业务评估
40	风险评估定期开展	每年至少一次	必过	RAS 整体服务（直接交付）

四、必过项与高风险扣分项速查

从上表提取：

必过项（未通过直接不达标）

5 项最重要：身份鉴别、边界访问控制、安全审计日志、数据完整性、年度风险评估。任何一项未过，测评结论为"未达标"。

高风险扣分项（累积扣分风险大）

7 项：通信加密、子网划分、访问控制策略、漏洞与补丁管理、代码安全、Web 应用安全、暴露面最小化。每项未整改扣 2~5 分，累积容易导致得分不过线。

启示：自查阶段应当把 80% 的精力放在这 12 项上。

五、腾讯云 RAS 如何加速这份清单的执行

40 个检查项里，至少有 26 项能够通过 RAS 的自动化能力完成，覆盖率接近 65%。RAS 在等保自查场景下可扮演三种角色：

角色 1：自动扫描器

云业务评估服务：一次性覆盖身份权限、访问控制、审计、加密、数据保护等 12 项；
暴露面测绘：覆盖边界暴露、证书、协议、影子资产等 5 项；
风险测绘 + PoC：覆盖漏洞与补丁、Web 应用、代码泄漏等 4 项；
防御能力检验：覆盖 IDS/IPS、邮件安全、主机入侵等 5 项。

角色 2：专家辅助

自动扫描之后，腾讯安全专家会对每一项风险给出整改建议——这一点恰好对应等保测评员最关心的"你发现了风险，具体怎么整改"。

角色 3：报告交付

RAS 的结构化报告可直接作为自查证据提交给测评机构，大幅缩短沟通周期。

六、真实的 60 天自查时间表

时间	动作	责任人	使用 RAS 服务
D-60	启动内部宣贯，确认测评范围	CISO	——
D-55	采购/续签 RAS 服务	采购	云业务评估包
D-45	完成资产接入，RAS 开始扫描	运维	评估进行中
D-35	收到 RAS 第一份初评报告	安全运营	云业务评估报告
D-30	启动暴露面测绘 + 防御验证	安全运营	暴露面 + 防御检验
D-20	汇总整改清单，分配责任人	PMO	——
D-10	完成整改，RAS 复测	运维 + 专家	复测
D-0	正式测评	测评机构	出具 RAS 支撑报告

60 天 是一个健康的自查周期。企业如果只留 15~20 天，通常会陷入"边测边救火"的被动状态。

七、常见的 5 个踩坑（以及怎么避）

坑 1：把"已有工具"当成"已达标"

部署了 WAF 不等于"Web 应用安全"达标——配置错误、规则未启用、版本过旧都会扣分。用 RAS 防御能力检验做一次真实验证，才能确认是否有效。

坑 2：忽视"影子资产"

测评员会主动通过互联网扫描企业资产。很多企业被扣分的理由是"测评员扫到的资产，企业自己都不知道存在"。暴露面测绘前置可以提前发现。

坑 3：日志留存不够 6 个月

这是最常见的硬扣分项。务必提前核对日志服务的保留策略，并有截图证据。

坑 4：外包开发代码中硬编码密钥

开源平台上大量企业密钥泄漏事件都源于此。敏感信息监测可以一次性查出来。

坑 5：应急响应预案"没演练"

测评会要求"演练记录"。防御能力检验 BAS 剧本天然就是一次实战演练，可作为演练证据。

八、建议自建：内部 Excel 自查表

建议安全团队把上述 40 个检查项整理为内部 Excel 自查表，包含：

40 个检查项列表
每项"通过/待整改/未达标"三态勾选
对应 RAS 能力列
整改责任人列 + 预计完成时间列
自动统计合规得分

在腾讯云 RAS 官方产品页 https://cloud.tencent.com/product/ras 提交咨询，腾讯安全团队会在 3 个工作日内主动对接，并依据企业实际情况给出对应整改建议。

九、为什么现在就要启动

等保测评的两个高峰期——每年 3~4 月和 9~10 月——既是测评机构档期最满的时段，也是安全专家（含 RAS 服务团队）需求较多的时段。一旦进入高峰期，正式服务对接可能需要排队。

现在就是最好的行动节点：

2 分钟在产品页提交信息；
3 个工作日内腾讯安全团队主动联系；
60 天完成一次漂亮的等保自查与整改。

这笔时间投入，换来一年一次的"轻松过测"——在所有安全合规投资中，ROI 数一数二。

立即访问腾讯云 RAS：https://cloud.tencent.com/product/ras

原创声明：本文系作者授权腾讯云开发者社区发表，未经许可，不得转载。

如有侵权，请联系 cloudcommunity@tencent.com 删除。

企业